온라인동영상서비스(OTT) 티빙이 침해사고로 활성·휴면·탈퇴 계정 등 총 3954만 개 계정의 정보가 유출된 것으로 조사됐다. 이 중 로그인이 가능한 실제 활성화된 계정은 2206만 개였다. 부실한 접속키 관리가 계정 정보 유출로 이어진 주요 원인 중 하나로 지목됐다.
과학기술정보통신부는 3일 티빙 침해사고에 대한 민관합동조사단 조사 결과를 발표했다. 이번 사고는 지난 5월30일 티빙 데이터베이스 서버의 작업량이 급증하면서 처음 이상징후가 포착됐다. 티빙은 분석 과정에서 비인가자가 내부 서버에 무단 접근해 이용자 정보를 조회한 사실을 확인하고 6월 1일 한국인터넷진흥원(KISA)에 침해사고를 신고했다.
티빙 데이터베이스와 관련 로그 등을 분석한 결과 공격자는 티빙 내부 시스템에 무단 침투해 총 3954만개 계정의 정보를 유출했다. 이 중 로그인이 가능한 활성 계정이 2206만 개였고 비활성 계정은 1737만 개였다. 비활성 계정에는 휴면 계정 850만 개와 탈퇴 계정 887만 개가 포함됐다. 테스트 계정도 11만 개 유출됐다.
다만 3954만 개는 실제 이용자 수가 아니라 중복을 포함한 계정 수다. 티빙은 동일인이 여러 계정을 만들 수 있으며 조사 과정에서 한 명이 최대 13개 계정을 보유한 사례도 확인됐다.
유출된 정보에는 ID, 비밀번호(일방향 암호화), CJ ONE 통합ID, 성명, 휴대폰 번호, 이메일 주소, 생년월일, 연계정보(CI) 등 20개 항목(70종)이 포함됐다. 휴대폰 번호와 이메일 주소 중 일부는 암호화돼 있었지만 암호화키도 함께 유출됐다. 조사단은 복호화가 가능한 만큼 평문으로 유출된 정보와 동일한 수준으로 판단했다.
개인정보와 함께 티빙의 서비스 운영에 사용되는 소스코드가 유출되는 등 기술자산도 외부로 빠져나갔다. 조사단이 티빙 개발환경의 보안 로그를 분석한 결과 소스코드가 포함된 개발 프로젝트 361건, 총 30.35GB가 유출된 것으로 나타났다. 유출된 프로젝트에는 이용자 맞춤형 콘텐츠 추천·검색 알고리즘을 비롯해 사용자 관리·인증체계, 결제 관리, 유료 서비스 운영 등에 사용되는 소스코드가 포함됐다. "티빙, 2년 전 취약점 알고도 방치"티빙의 부실한 접속키 관리가 계정 정보 유출로 이어진 주요 원인 중 하나인 것으로 조사됐다. 공격자는 티빙 개발자가 보유하고 있던 '개발환경 접속키'를 탈취해 지난 5월 29일 개발환경에 무단 침투했다.
공격자는 탈취한 접속키를 이용해 개발환경에서 접근할 수 있는 개발 프로젝트를 빼냈다. 1차 공격에서는 14개 프로젝트를 빼냈고 이후 2차 공격에서 개발 프로젝트 361건 전체를 빼냈다.
조사단은 조사 과정에서 접속키 관리체계 부실과 로그 보관기간의 한계 등 정보보호 관리체계상 문제점을 발견했다.
조사단이 티빙의 개발 프로젝트 361건을 분석한 결과 총 43개의 운영환경 접속키가 소스코드에 포함돼 있다. 개발·운영환경에 접근할 수 있는 접속키가 소스코드 내부에 그대로 노출되거나 별도 암호화 없이 평문으로 저장돼 있었다.
공격자는 이 가운데 운영환경 접속키를 이용해 티빙의 실제 서비스가 운영되는 아마존웹서비스(AWS)에 침투했다. 이후 관리자 권한과 내부 시스템을 탐색하는 과정에서 이용자 정보가 저장된 DB에 접근할 수 있는 ID와 비밀번호를 확보했다.
5월 30일에는 확보한 운영환경 접속키와 DB 접속정보를 이용해 클라우드 저장소에 정보유출형 공격 도구(스크립트)를 삽입했다. 해당 저장소와 연동된 DB에 접속해 이용자 정보 조회와 유출을 시도했다. 이 과정에서 DB 서버의 CPU 이용률이 100%까지 올라가면서 이상징후 알림이 발생했고 티빙은 해당 작업을 차단했다.
공격자는 다음 날인 5월 31일 다시 공격했다. 가상서버 생성 권한이 있는 운영환경 접속키를 이용해 티빙 운영환경 내부에 가상서버를 만든 뒤 이를 정보 유출 통로로 사용했다. DB에 저장된 이용자 정보 24GB를 생성한 가상서버로 옮긴 뒤 외부 서버로 유출하고 가상서버를 삭제했다.
두 번째 공격에서는 DB 서버 작업량 증가에 따른 이상징후 알림이 발생하지 않았다. 조사단은 공격자가 CPU 이용률을 제한하는 방식으로 공격했을 가능성이 있다고 봤다.
조사단은 티빙이 접속키 관리체계를 제대로 구축했다면 공격자의 개발환경 접근을 차단하거나 이후 공격이 운영환경으로 확산하는 것을 막을 수 있었을 것이라고 판단했다. 티빙은 접속키를 소스코드에 그대로 저장했을 뿐만 아니라 일부 키를 사내 메신저 등을 통해 다른 사람과 공유한 것으로 조사됐다.
접근권한 관리에도 문제가 확인됐다. 모든 개발자에게 전체 개발 프로젝트에 접근할 수 있는 권한을 부여해 공격자가 개발환경 접속키 하나만 탈취해도 모든 개발 프로젝트에 접근할 수 있는 구조다. 키 발급과 사용, 변경, 폐기, 정기점검 등을 위한 관리 절차도 제대로 마련돼 있지 않았다.
특히 티빙은 2024년 시행한 모의해킹에서 개발·운영환경 접속키를 소스코드 내부에 그대로 노출하는 '하드코딩' 취약점을 이미 발견한 것으로 조사됐다. 이후 해당 취약점에 대한 개선 조치는 이뤄지지 않았다.
조사단은 티빙에 접속키 관리·통제와 접근권한 체계를 새로 구축하고 운영관리 기준을 명확히 할 것을 요구했다. 키 발급·사용 이력을 관리하는 체계를 마련하고 상시 점검도 시행하도록 했다.